Windows eventlogs & starten van een batch file bij verkeerd

[Verwijderd]

Hoi,

Is er een manier om een batchfile te starten nadat een gebruiker met verkeerde inloggegevens probeerde aan te melden?

Waar vind ik er ergens logs waar ik kan zien wanneer gebruikers hebben ingelogd en of er pogingen geweest zijn met verkeerde inlog gegevens. Zoals bv. de administrator account (of moet je dit specifiek aan zetten).
Ik heb de logs van Windows (Windows 7 Ultimate) al 100de keren nagelopen na eerst zelf meermaals aan te loggen met verkeerde gegevens, maar ik vind er nergens iets van terug.
Ik vermoed dat als ik de daaraan gekoppelde event id ken ik via de taakplanner een batch file kan starten wanneer deze event ID zich voordoet. Op internet vind ik hier ook vrij weinig informatie over die mij in de goede richting kan brengen. Hopelijk heb ik hier meer succes

Alvast bedank!

...

[sprankel]

security logboek, niet system of application.

Om het te scripten denk ik dat je een script moet schrijven dat via een psloglist zoekt naar events en dan een actie koppelen, dit script om de zoveel tijd uitvoeren. Mogelijks is er een andere manier maar is het eerste wat mij binnen schiet.

Op domein niveau moet je dat wel aanzetten als je het wilt zien (on premise) maar ik vermoed dat we hier niet over een domein spreken.

[Verwijderd]

Ik heb het security logboek nog eens bekeken (nu ben ik zeker dat ik op de juiste plaats kijk) en ik vind bv:

code:

 Poging tot aanmelden met expliciete referenties.

Onderwerp:
    Beveiligings-id:        SYSTEM
    Accountnaam:        USER-PC$
    Accountdomein:      WORKGROUP
    Aanmeldings-id:     0x3e7
    Aanmeldings-GUID:       {00000000-0000-0000-0000-000000000000}

Account waarvan de referenties zijn gebruikt:
    Accountnaam:        user
    Accountdomein:      user-PC
    Aanmeldings-GUID:       {00000000-0000-0000-0000-000000000000}

Het rare is dat hij een verkeerde inlog poging maar een keer registreert. en hij registreert zelfs de verkeerde accountnaam. Want hij zegt user terwijl ik geprobeerd heb met administrator in te loggen. Raar....

Het gaat over een standalone pc. Deze Windows 7 draait als een VHD en de bedoeding is om na 2 verkeerde inlog pogingen met een script de BCD entry van de VHD te verwijderen (dit commando ken ik) en daarna de pc onmiddellijk uit te zetten met het shutdown /f /p commando. Daardoor wordt de pc "onbruikbaar". Booten van usb, cdrom enz. staat ook uit.

[Wim-Bart]

task scheduler kan gewoon scripts aftrappen op events.

[Monkeybrains]

Wim-Bart schreef op zaterdag 4 april 2020 @ 04:11:
task scheduler kan gewoon scripts aftrappen op events.

Dit dus. Volgens mij kan je zelfs rechtermuisknop op een event doen en dan kiezen om een scheduled task te doen. Zeker weten doe ik het niet, heb mijn windows machine even niet bij de hand.

Wellicht dat je hier wat aan hebt https://superuser.com/que...-with-a-specific-event-id

[Killah_Priest]

Verwijderd schreef op zaterdag 4 april 2020 @ 03:55:

Het gaat over een standalone pc. Deze Windows 7 draait als een VHD en de bedoeding is om na 2 verkeerde inlog pogingen met een script de BCD entry van de VHD te verwijderen (dit commando ken ik) en daarna de pc onmiddellijk uit te zetten met het shutdown /f /p commando. Daardoor wordt de pc "onbruikbaar". Booten van usb, cdrom enz. staat ook uit.

Ben ik de enige die dit "vreemd" vind? Bereid je overigens maar voor op een machine die erg snel onbruikbaar wordt op deze manier, een netwerkdevice binnen je netwerk (bv andere pc) kan namelijk ook voor een failed login zorgen zonder dat er echt iets aan de hand hoeft te zijn.
Als het om security gaat: geen Windows 7 meer gebruiken.

[Wim-Bart]

Killah_Priest schreef op zaterdag 4 april 2020 @ 13:00:
[...]


Ben ik de enige die dit "vreemd" vind? Bereid je overigens maar voor op een machine die erg snel onbruikbaar wordt op deze manier, een netwerkdevice binnen je netwerk (bv andere pc) kan namelijk ook voor een failed login zorgen zonder dat er echt iets aan de hand hoeft te zijn.
Als het om security gaat: geen Windows 7 meer gebruiken.

Ik denk dat het een soort honeypot is, kijken of er software in het netwerk draait die op Windows 7/2008R is getarget. Maar de oplossing is eenvoudig. Je kan het trouwens vanuit event viewer zelf maken zoals @Monkeybrains schjrijft.

https://community.spicewo...l-script-on-windows-event

[Archie_T]

Ik weet niet hoe het normaal staat in Windows maar volgens mij moet je logon failures aanzetten in je audit log via group policy of auditpol.exe.

[Verwijderd]

Wim-Bart schreef op zaterdag 4 april 2020 @ 17:44:
[...]


Ik denk dat het een soort honeypot is, kijken of er software in het netwerk draait die op Windows 7/2008R is getarget. Maar de oplossing is eenvoudig. Je kan het trouwens vanuit event viewer zelf maken zoals @Monkeybrains schjrijft.

https://community.spicewo...l-script-on-windows-event

Bedankt voor de info!